Überschriebener Krypto-Wallet-Schlüssel wiederhergestellt
Gerät:
MacBook Air
Vermögenswert:
Krypto-Wallet in Selbstverwahrung (NEO/Neon Wallet)
Geschätzter Wert im Risiko:
Etwa 96.000 $ in Kryptowährung
Problem:
Der private Schlüssel wurde beim Bearbeiten/Kopieren/Einfügen überschrieben
Speicherort des Schlüssels:
Apple Notizen (als Text gespeichert)
Ein Kunde verlor plötzlich den Zugriff auf eine Kryptowallet im Wert von rund 82.600 €, nachdem er eine Notiz auf seinem Computer aktualisiert hatte. Die Zugangsdaten zur Wallet waren in der Notizen-App gespeichert. Während einer Bearbeitung – vermutlich bei einem Kopier- und Einfügevorgang – wurde der private Schlüssel versehentlich überschrieben.
Der Kunde gab an, das Gerät nach dem Fehler kaum genutzt und keine DIY-Wiederherstellungstools eingesetzt zu haben, wodurch die bestmöglichen Chancen auf eine Krypto-Wiederherstellung gewahrt blieben.
Krypto-Schlüssel verzeihen kein „fast richtig“. Ein einziges falsches, fehlendes oder zusätzliches Zeichen kann den Zugriff vollständig verhindern.
In diesem Fall überschieb der Kunde den ursprünglichen privaten Schlüssel in der Notizen-App mit einer ähnlichen, jedoch gekürzten Version, sodass die sichtbare Notiz nicht mehr vertrauenswürdig war. Die beste Erfolgschance bestand darin, unter die Oberfläche der Notizen-App zu blicken und die Artefakte in der zugrunde liegenden Datenbank der App zu analysieren, in denen frühere Versionen bearbeiteter Texte mitunter noch vorhanden sind.
Das Engineering-Team untersuchte die relevanten Notizen-Artefakte auf niedriger Ebene und suchte nach Kandidaten-Strings, die dem erwarteten Muster eines privaten Schlüssels entsprachen. Auf diese Weise identifizierte das Team mehrere Vorkommen eines Schlüssel-Kandidaten, der der erwarteten Struktur entsprach und offenbar eine frühere, nicht beschädigte Version darstellte.
Bei der Krypto-Wiederherstellung ist die Validierung entscheidend. Ein Schlüssel gilt erst dann als „wiederhergestellt“, wenn nachgewiesen werden kann, dass er korrekt ist.
Der Kunde erhielt wieder Zugriff auf seine Wallet und bestätigte, dass der wiederhergestellte Schlüssel wie erwartet funktionierte.
Ich musste kreativ vorgehen und eine Roh-Hexanalyse des Laufwerks durchführen, um frühere Versionen der Einträge in der Notizen-Datenbank zu lokalisieren. Nachdem ich mögliche Fragmente privater Schlüssel im nicht zugewiesenen Speicherbereich identifiziert hatte, validierte ich sie anhand des bekannten öffentlichen Schlüssels des Kunden und konnte die Wallet entsperren.
– Will DeLisi
Datenrettungsingenieur bei DriveSavers
Wird ein Schlüssel überschrieben, kann er aus der „Front-End“-Ansicht verschwinden. Anwendungen wie die Notizen-App basieren jedoch häufig auf Datenbanken, die Arbeitsdateien und Artefakte jüngster Änderungen erzeugen. Selbst wenn die letztlich sichtbare Notiz fehlerhaft ist, können darunter mitunter Spuren früherer Textversionen bestehen bleiben — insbesondere, wenn das Gerät anschließend nicht stark genutzt wurde.
Falls Sie sich fragen, warum dies nicht so einfach ist wie die Suche nach einer Textdatei oder einem Dokument:
Wenn Sie vermuten, dass Sie einen privaten Schlüssel überschrieben oder beschädigt haben:
Verwenden Sie das Gerät nicht weiter: Neue Aktivitäten können verbliebene Artefakte überschreiben, die möglicherweise noch frühere Textversionen enthalten.
Nehmen Sie keine weiteren Änderungen vor: Wiederholtes Kopieren/Einfügen oder das „Korrigieren“ des Schlüssels kann die verbleibenden Reste der vorherigen Version zerstören.
Bewahren Sie Verifizierungsdaten auf: Wenn Sie den öffentlichen Schlüssel bzw. die Adresse an anderer Stelle notiert haben, behalten Sie diese — sie kann helfen zu bestätigen, dass der richtige private Schlüssel gefunden wurde.
Nächster Schritt: Bewahren Sie das Gerät in seinem aktuellen Zustand auf und sammeln Sie alle verbleibenden Wallet-Identifikatoren (öffentlicher Schlüssel/Adresse, Name/Version der Wallet-App, Speicherort des Schlüssels). Rufen Sie anschließend DriveSavers an. Unsere Datenrettungsberater sind rund um die Uhr (24/7) erreichbar.
English (United States) 
English (Australia) 
French (France) 
English (UK) 
French (Canada) 
English (Canada) 
Spanish (Mexico) 
German 
Dutch 
Italian 
Finnish 
Polish 
Norwegian 
Swedish 
Danish 
Spanish (Spain) 
Chinese 
Japanese 
German (Austria)